如何执行作为sp参数传递的SQL文本?

用途:

BEGIN

  EXEC sp_executesql @nvarchar_parameter

END

…假设参数是整个SQL查询。如果不是:

DECLARE @SQL NVARCHAR(4000)
SET @SQL = 'SELECT ...' + @nvarchar_parameter

BEGIN

  EXEC sp_executesql @SQL

END

意识到 SQL Injection attacks 我强烈推荐阅读 The curse and blessing of Dynamic SQL .

您可以在您的sp中执行@sqlstation。但是,这不是最好的做法,因为它可以为您打开SQL注入。你可以看到一个例子 here

你用 EXECUTE 将命令作为字符串传递给它。注意,这可能会使您的系统面临严重的漏洞,因为很难验证您盲目执行的SQL语句的非恶意性。

如何从SP中执行提供的SQL命令?

非常小心。该代码可以做任何事情,包括添加或删除记录,甚至整个表或数据库。

为了安全起见,您需要创建一个单独的用户帐户,该帐户仅对一小部分允许的表/视图具有dbreader权限,并使用 EXECUTE AS 用于将上下文限制到该用户的命令。